Private VLANs

Die Notwendigkeit, ein einzelnes VLAN zu trennen, ist besonders nützlich in den folgenden Bereitstellungsszenarien:

• Serverfarmen: Ein typischer Internet service Provider verwendet eine Serverfarm, um Webhosting für zahlreiche Kunden bereitzustellen. Die Suche nach verschiedenen Servern in einer einzigen Serverfarm ermöglicht eine einfache Verwaltung. Sicherheitsbedenken entstehen, wenn sich alle Server im selben VLAN befinden, da Layer-2-Broadcasts an alle Server im VLAN gehen.

• Metropolitan Ethernet-Netzwerke: Ein Metro-Service Provider bietet Layer-2-Ethernet-Zugang für verschiedene Haushalte, Mietgemeinschaften und Unternehmen. Die herkömmliche Lösung, ein VLAN pro Kunde bereitzustellen, ist nicht skalierbar und schwierig zu verwalten, was zu einer potenziellen Verschwendung von IP-Adressen führt. PVLANs bieten eine sicherere und effizientere Lösung.

Ein PVLAN kann auf einem einzigen Switch konfiguriert oder für mehrere Switches konfiguriert werden. Die Arten von Domänen und Ports sind:

• Primäres VLAN: Das primäre VLAN des PVLAN wird mit einem 802.1Q-Tag (VLAN-ID) für das gesamte PVLAN definiert. Das primäre PVLAN kann mehrere sekundäre VLANs (ein isoliertes VLAN und mehrere Community-VLANs) enthalten.

• Isoliertes VLAN/isolierter Port: Ein primäres VLAN kann nur ein isoliertes VLAN enthalten. Eine Schnittstelle innerhalb eines isolierten VLANs kann Pakete nur an einen promiscuous Port oder den ISL-Port (Inter-Switch Link) weiterleiten. Eine isolierte Schnittstelle kann Pakete nicht an eine andere isolierte Schnittstelle weiterleiten. und eine isolierte Schnittstelle kann keine Pakete von einer anderen isolierten Schnittstelle empfangen. Wenn ein Kundengerät nur Zugriff auf einen Gateway-Router haben muss, muss das Gerät an einen isolierten Trunk-Port angeschlossen sein.

• Community-VLAN/Community-Port: Sie können mehrere Community-VLANs in einem einzigen PVLAN konfigurieren. Eine Schnittstelle innerhalb eines bestimmten Community-VLANs kann Layer-2-Kommunikation mit jeder anderen Schnittstelle herstellen, die zum gleichen Community-VLAN gehört. Eine Schnittstelle innerhalb eines Community-VLANs kann auch mit einem promiscuous Port oder dem ISL-Port kommunizieren. Wenn Sie beispielsweise zwei Kundengeräte haben, die sie von anderen Kundengeräten isolieren müssen, die aber miteinander kommunizieren können müssen, verwenden Sie Community-Ports.

• Promiscuous Port: Ein promiscuous Port verfügt über Layer-2-Kommunikation mit allen Schnittstellen im PVLAN, unabhängig davon, ob eine Schnittstelle zu einem isolierten VLAN oder einem Community-VLAN gehört. Ein promiscuous Port ist Mitglied des primären VLANs, ist aber nicht in einer sekundären Subdomäne enthalten. Layer-3-Gateways, DHCP-Server und andere vertrauenswürdige Geräte, die mit Endgeräten kommunizieren müssen, sind in der Regel mit einem promiscuous Port verbunden.

• Inter-Switch Link (ISL): Ein ISL ist ein Trunk-Port, der mehrere Switches in einem PVLAN verbindet und zwei oder mehr VLANs enthält. Sie ist nur erforderlich, wenn ein PVLAN mehrere Switches umfasst.

Das konfigurierte PVLAN ist die primäre Domain (primäres VLAN). Innerhalb des PVLAN konfigurieren Sie sekundäre VLANs, die zu Subdomänen werden, die in der primären Domäne verschachtelt sind. Ein PVLAN kann auf einem einzigen Switch konfiguriert oder für mehrere Switches konfiguriert werden. Das in Abbildung 1 dargestellte PVLAN umfasst zwei Switches mit einer primären PVLAN-Domain und verschiedenen Subdomains.

Abbildung 1: Subdomains in einem PVLAN

Wie in den Beispielen Abbildung 3dargestellt, hat ein PVLAN nur eine primäre Domain und mehrere sekundäre Domänen. Die Arten von Domänen sind:

• Primäres VLAN– VLAN zur Weiterleitung von Frames im Downstream an isolierte VLANs und Community-VLANs. Das primäre VLAN des PVLAN ist mit einem 802.1Q-Tag (VLAN-ID) für das komplette PVLAN definiert. Das primäre PVLAN kann mehrere sekundäre VLANs (ein isoliertes VLAN und mehrere Community-VLANs) enthalten.

• Sekundäres isoliertes VLAN– VLAN, das Pakete nur vom primären VLAN empfängt und Frames upstream an das primäre VLAN weiterleite. Das isolierte VLAN ist ein sekundäres VLAN, das innerhalb des primären VLANs eingebettet ist. Ein primäres VLAN kann nur ein isoliertes VLAN enthalten. Eine Schnittstelle innerhalb eines isolierten VLANs (isolierte Schnittstelle) kann Pakete nur an einen promiscuous Port oder den PVLAN-Trunk-Port weiterleiten. Eine isolierte Schnittstelle kann Pakete nicht an eine andere isolierte Schnittstelle weiterleiten. eine isolierte Schnittstelle kann auch nicht Pakete von einer anderen isolierten Schnittstelle empfangen. Wenn ein Kundengerät nur Zugriff auf einen Router haben muss, muss das Gerät an einen isolierten Trunk-Port angeschlossen sein.

• Sekundäres isoliertes Interswitch-VLAN – VLAN, das verwendet wird, um isolierten VLAN-Datenverkehr von einem Switch über PVLAN-Trunk-Ports von einem Switch zum anderen weiterzuleiten. 802.1Q-Tags sind für isolierte VLANs zwischen Switches erforderlich, da IEEE 802.1Q einen internen Tagging-Mechanismus verwendet, mit dem ein Trunkinggerät eine Registerkarte für VLAN-Frame-Identifizierung mit 4 Byte in den Paket-Header einfügt. Ein isoliertes Interswitch-VLAN ist ein sekundäres VLAN, das innerhalb des primären VLANs verschachtelt ist.

• Sekundäres Community-VLAN – VLAN wurde verwendet, um Frames zwischen Mitgliedern einer Community (einer Teilmenge der Benutzer innerhalb des VLANs) zu transportieren und Frames vor dem primären VLAN weiterzuleiten. Ein Community-VLAN ist ein sekundäres VLAN, das innerhalb des primären VLANs eingebettet ist. Sie können mehrere Community-VLANs in einem einzigen PVLAN konfigurieren. Eine Schnittstelle innerhalb eines bestimmten Community-VLANs kann Layer-2-Kommunikation mit jeder anderen Schnittstelle herstellen, die zum gleichen Community-VLAN gehört. Eine Schnittstelle innerhalb eines Community-VLANs kann auch mit einem promiscuous Port oder dem PVLAN-Trunk-Port kommunizieren.

Abbildung 2 zeigt ein PVLAN, das mehrere Switches umspannt, wobei das primäre VLAN (100) zwei Community-Domänen (300 und 400) und eine isolierte Interswitch-Domain enthält.

Abbildung 2: PVLAN umspannt mehrere Switches

Das konfigurierte PVLAN wird zur primären Domäne, und sekundäre VLANs werden zu Subdomänen, die innerhalb der primären Domäne verschachtelt sind. Ein PVLAN kann auf einem einzigen Router erstellt werden. Das in Abbildung 3 dargestellte PVLAN umfasst einen Router mit einer primären PVLAN-Domain und mehreren sekundären Subdomänen.

Abbildung 3: Subdomains in einem PVLAN mit einem Router

Die Arten von Domänen sind:

• Primäres VLAN– VLAN zur Weiterleitung von Frames im Downstream an isolierte VLANs und Community-VLANs.

• Sekundäres isoliertes VLAN– VLAN, das Pakete nur vom primären VLAN empfängt und Frames upstream an das primäre VLAN weiterleite.

• Isoliertes sekundäres Interswitch-VLAN – VLAN zur Weiterleitung isolierten VLAN-Datenverkehrs von einem Router zum anderen über PVLAN-Trunk-Ports.

• Sekundäres Community-VLAN – VLAN wird verwendet, um Frames zwischen Mitgliedern einer Community zu transportieren, die eine Untermenge von Benutzern innerhalb des VLANs ist, und um Frames vor dem primären VLAN weiterzuleiten.

Abbildung 4 zeigt ein PVLAN auf einem einzigen Switch, wobei das primäre VLAN (VLAN 100) zwei Community-VLANs (VLAN 300 und VLAN 400) und ein isoliertes VLAN (VLAN 50) enthält.

Abbildung 4: Privates VLAN auf einem einzigen EX-Switch

Abbildung 5 zeigt ein PVLAN, das mehrere Switches umfasst, wobei das primäre VLAN (VLAN 100) zwei Community-VLANs (VLAN 300 und VLAN 400) und ein isoliertes VLAN (VLAN 200) enthält. Es zeigt auch, dass die Switches 1 und 2 über eine Interswitch-Verbindung (PVLAN Trunk Link) verbunden sind.

Abbildung 5: PVLAN umspannt mehrere Switches der EX-Serie

Außerdem verwenden die in den angezeigten Abbildung 4Abbildung 5 PVLANs einen promiscuous Port, der mit einem Router verbunden ist, um Layer-3-Datenverkehr zwischen der Community und isolierten VLANs zu leiten. Anstatt den promiscuous Port zu verwenden, der mit einem Router verbunden ist, können Sie eine RVI auf dem Switch in Abbildung 4 oder einem der angezeigten Abbildung 5 Switches (auf einigen EX-Switches) konfigurieren.

Um Layer-3-Datenverkehr zwischen isolierten und Community-VLANs zu leiten, müssen Sie entweder einen Router mit einem promiscuous Port verbinden, wie in Abbildung 4 und und Abbildung 5dargestellt, oder eine RVI konfigurieren.

Wenn Sie die RVI-Option auswählen, müssen Sie einen RVI für das primäre VLAN in der PVLAN-Domäne konfigurieren. Dieser RVI dient der gesamten PVLAN-Domain, unabhängig davon, ob die Domain einen oder mehrere Switches umfasst. Nach der Konfiguration der RVI werden Layer-3-Pakete, die von den sekundären VLAN-Schnittstellen empfangen werden, zugeordnet und von der RVI geroutet.

Bei der Einrichtung des RVI müssen Sie auch proxy Address Resolution Protocol (ARP) aktivieren, damit die RVI ARP-Anfragen verarbeiten kann, die von den sekundären VLAN-Schnittstellen empfangen werden.

Informationen zur Konfiguration von PVLANs auf einem einzelnen Switch und auf mehreren Switches finden Sie unter Erstellen eines privaten VLANs auf einem einzigen Switch der EX-Serie (CLI-Prozedur). Informationen zur Konfiguration einer RVI finden Sie unter Konfigurieren einer Routing-VLAN-Schnittstelle in einem privaten VLAN auf einem Switch der EX-Serie.

Um Layer-3-Datenverkehr zwischen isolierten und Community-VLANs zu leiten, müssen Sie einen externen Router oder Switch mit einem Trunk-Port des primären VLANs verbinden. Der Trunk-Port des primären VLANs ist ein promiscuous Port; daher kann es mit allen Ports im PVLAN kommunizieren.

Wenn Pakete mit einem kundenspezifischen 802.1Q-Tag markiert werden, identifiziert dieses Tag die Eigentümerschaft der Pakete für jeden Switch oder Router im Netzwerk. Manchmal werden 802.1Q-Tags in PVLANs benötigt, um Pakete aus verschiedenen Subdomains im Auge zu behalten. Tabelle 1 gibt an, wenn ein VLAN 802.1Q-Tag im primären VLAN oder auf sekundären VLANs benötigt wird.

PVLANs sorgen für die IP-Adressenkonservierung und die effiziente Zuweisung von IP-Adressen. In einem typischen Netzwerk entsprechen VLANs normalerweise einem einzelnen IP-Subnetz. In PVLANs gehören die Hosts in allen sekundären VLANs zum selben IP-Subnetz, da das Subnetz dem primären VLAN zugewiesen ist. Hosts innerhalb des sekundären VLANs werden ip-Adressen basierend auf ip-Subnetzen zugewiesen, die mit dem primären VLAN verbunden sind, und ihre IP-Subnet-Maskierungsinformationen entsprechen denen des primären VLAN-Subnetzes. Jedes sekundäre VLAN ist jedoch eine separate Broadcast-Domain.

PVLANs können bis zu sechs verschiedene Porttypen verwenden. Das dargestellteAbbildung 2 Netzwerk verwendet einen promiscuous Port, um Informationen an den Router zu übertragen, Community-Ports, um die Finanz- und HR-Communitys mit ihren jeweiligen Switches zu verbinden, isolierte Ports zur Verbindung der Server und einen PVLAN-Trunk-Port, um die beiden Switches zu verbinden. PVLAN-Ports haben unterschiedliche Einschränkungen:

• Promiscuous Trunk-Port: Ein promiscuous Port verfügt über Layer-2-Kommunikation mit allen Schnittstellen im PVLAN, unabhängig davon, ob die Schnittstelle zu einem isolierten VLAN oder einem Community-VLAN gehört. Ein promiscuous Port ist Mitglied des primären VLANs, ist aber nicht in einer der sekundären Subdomänen enthalten. Layer-3-Gateways, DHCP-Server und andere vertrauenswürdige Geräte, die mit Endgeräten kommunizieren müssen, sind in der Regel mit einem promiscuous Port verbunden.

• PVLAN Trunk Link: Die PVLAN-Trunk-Verbindung, die auch als Interswitch-Verbindung bezeichnet wird, ist nur erforderlich, wenn ein PVLAN so konfiguriert ist, dass er mehrere Switches umspannt. Der PVLAN-Trunk-Link verbindet die verschiedenen Switches, aus denen das PVLAN besteht.

• PVLAN-Trunk-Port: In Multiswitch-PVLAN-Konfigurationen ist ein PVLAN-Trunk-Port erforderlich, um die Switches zu umspannen. Der PVLAN-Trunk-Port ist Mitglied aller VLANs innerhalb des PVLAN (d. h. des primären VLANs, der Community-VLANs und des isolierten VLANs), und er transportiert den Datenverkehr aus dem primären VLAN und allen sekundären VLANs. Es kann mit allen anderen Ports als den isolierten Ports kommunizieren.

  Die Kommunikation zwischen einem PVLAN-Trunk-Port und einem isolierten Port erfolgt normalerweise unidirektional. Die Mitgliedschaft eines PVLAN-Trunk-Ports im isolierten Interswitch-VLAN ist nur ausgehend, was bedeutet, dass ein isolierter Port Pakete an einen PVLAN-Trunk-Port weiterleiten kann, ein PVLAN-Trunk-Port jedoch keine Pakete an einen isolierten Port weiterleitet (es sei denn, die Pakete gehen über einen promiscuous Access Port ein und werden daher an alle sekundären VLANs im selben primären VLAN wie der promiscuous Port weitergeleitet).

• Sekundärer VLAN-Trunk-Port (nicht dargestellt): Sekundäre Trunk-Ports übertragen sekundären VLAN-Datenverkehr. Für ein bestimmtes privates VLAN kann ein sekundärer VLAN-Trunk-Port den Datenverkehr für nur ein sekundäres VLAN übertragen. Ein sekundärer VLAN-Trunk-Port kann jedoch den Datenverkehr für mehrere sekundäre VLANs übertragen, solange jedes sekundäre VLAN Mitglied eines anderen primären VLANs ist. Ein sekundärer VLAN-Trunk-Port kann beispielsweise den Datenverkehr für ein Community-VLAN übertragen, das Teil des primären VLANs pvlan100 ist, und auch den Datenverkehr für ein isoliertes VLAN übertragen, das Teil des primären VLAN pvlan400 ist.

• Gemeinschaftshafen– Gemeinschaftshäfen kommunizieren untereinander und mit ihren promiscuous Ports. Community-Ports dienen nur einer ausgewählten Gruppe von Benutzern. Diese Schnittstellen sind auf Layer 2 von allen anderen Schnittstellen in anderen Communities oder isolierten Ports innerhalb ihres PVLAN getrennt.

• Isolierter Access-Port – Isolierte Ports verfügen nur über Layer-2-Konnektivität mit promiscuous-Ports und PVLAN-Trunk-Ports – ein isolierter Port kann nicht mit einem anderen isolierten Port kommunizieren, selbst wenn diese beiden Ports Mitglieder derselben isolierten VLAN-Domäne (oder interswitch-isolierten VLAN)-Domäne sind. In der Regel ist ein Server wie ein Mailserver oder ein Backup-Server über einen isolierten Port verbunden. In einem Hotel wäre normalerweise jedes Zimmer an einem isolierten Port verbunden, was bedeutet, dass die Kommunikation von Raum zu Raum nicht möglich ist, aber jedes Zimmer kann über den promiscuous Port auf das Internet zugreifen.

• Promiscuous Access Port (nicht angezeigt): Diese Ports übertragen nicht getaggten Datenverkehr. Der Datenverkehr, der über einen promiscuous Access Port eingehender wird an alle sekundären VLAN-Ports auf dem Gerät weitergeleitet. Wenn der Datenverkehr an einem VLAN-fähigen Port in das Gerät eintrifft und an einem promiscuous Access Port austritt, wird der Datenverkehr beim Ausgang nicht markiert. Wenn getaggter Datenverkehr an einem promiscuous Access-Port eintrifft, wird der Datenverkehr verworfen.

• Interswitch-Link-Port: Ein Interswitch-Link-Port (ISL) ist ein Trunk-Port, der zwei Router verbindet, wenn ein PVLAN diese Router umspannt. Der ISL-Port ist Mitglied aller VLANs innerhalb des PVLAN (das sind das primäre VLAN, die Community-VLANs und das isolierte VLAN).

  Die Kommunikation zwischen einem ISL-Port und einem isolierten Port erfolgt unidirektional. Die Mitgliedschaft eines ISL-Ports im isolierten Interswitch-VLAN erfolgt nur aus dem Ausgang, was bedeutet, dass eingehender Datenverkehr auf dem ISL-Port niemals dem isolierten VLAN zugewiesen wird. Ein isolierter Port kann Pakete an einen PVLAN-Trunk-Port weiterleiten, ein PVLAN-Trunk-Port kann jedoch keine Pakete an einen isolierten Port weiterleiten. Tabelle 3 fasst zusammen, ob layer 2-Konnektivität zwischen den verschiedenen Arten von Ports vorhanden ist.

Tabelle 2 fasst die Layer-2-Konnektivität zwischen den verschiedenen Arten von Ports innerhalb eines PVLAN auf Switches der EX-Serie zusammen, die ELS unterstützen.

Tabelle 4 fasst zusammen, ob layer 2-Konnektivität zwischen den verschiedenen Arten von Ports innerhalb eines PVLAN vorhanden ist oder nicht.

Wie in Tabelle 4den Informationen erwähnt, erfolgt die Layer-2-Kommunikation zwischen einem isolierten Port und einem PVLAN-Trunk-Port unidirektional. Das heißt, ein isolierter Port kann nur Pakete an einen PVLAN-Trunk-Port senden, und ein PVLAN-Trunk-Port kann nur Pakete von einem isolierten Port empfangen. Umgekehrt kann ein PVLAN-Trunk-Port keine Pakete an einen isolierten Port senden, und ein isolierter Port kann keine Pakete von einem PVLAN-Trunk-Port empfangen.

Das im Abbildung 6 Diagramm dargestellte Flussdiagramm gibt Ihnen einen allgemeinen Überblick über den Prozess zum Erstellen von PVLANs. Wenn Sie Ihre Konfigurationsschritte in der angegebenen Reihenfolge durchführen, verstoßen Sie nicht gegen diese PVLAN-Regeln. (In den PVLAN-Regeln gilt die Konfiguration des PVLAN-Trunk-Ports nur für ein PVLAN, das mehrere Router umspannt.)

• Das primäre VLAN muss ein getaggtes VLAN sein.

• Wenn Sie eine Community-VLAN-ID konfigurieren möchten, müssen Sie zuerst das primäre VLAN konfigurieren.

• Wenn Sie eine Isolations-VLAN-ID konfigurieren möchten, müssen Sie zuerst das primäre VLAN konfigurieren.

Die Konfiguration eines VLANs auf einem einzigen Router ist relativ einfach, wie in Abbildung 6.

Abbildung 6: Konfigurieren eines PVLAN auf einem einzigen Switch

Die Konfiguration eines primären VLANs besteht aus den folgenden Schritten:

1. Konfigurieren Sie den primären VLAN-Namen und das 802.1Q-Tag.

2. Auf das primäre VLAN festgelegt no-local-switching .

3. Konfigurieren Sie den promiscuous Trunk-Port und die Access-Ports.

4. Machen Sie die promiscuous Trunk- und Access-Ports Mitglieder des primären VLANs.

In einem primären VLAN können Sie sekundäre Community-VLANs oder sekundäre isolierte VLANs oder beides konfigurieren. Die Konfiguration eines sekundären Community-VLANs besteht aus den folgenden Schritten:

1. Konfigurieren Sie ein VLAN mit dem üblichen Prozess.

2. Konfigurieren Sie Zugriffsschnittstellen für das VLAN.

3. Weisen Sie dem Community-VLAN ein primäres VLAN zu,

Isolierte VLANs werden intern erstellt, wenn das isolierte VLAN Zugriffsschnittstellen als Member hat und die Option no-local-switching im primären VLAN aktiviert ist.

802.1Q-Tags sind für isolierte VLANs zwischen Switches erforderlich, da IEEE 802.1Q einen internen Tagging-Mechanismus verwendet, mit dem ein Trunkinggerät eine Registerkarte für VLAN-Frame-Identifizierung mit 4 Byte in den Paket-Header einfügt.

Trunk-Ports werden nur für Multirouter-PVLAN-Konfigurationen benötigt – der Trunk-Port transportiert den Datenverkehr aus dem primären VLAN und allen sekundären VLANs.

• Eine Zugriffsschnittstelle kann nur zu einer PVLAN-Domäne gehören, d. h. sie kann nicht an zwei verschiedenen primären VLANs teilnehmen.

• Eine Trunkschnittstelle kann Mitglied von zwei sekundären VLANs sein, solange sich die sekundären VLANs in zwei verschiedenen primären VLANs befinden. Eine Trunkschnittstelle darf nicht Mitglied von zwei sekundären VLANs sein, die sich im selben primären VLAN befinden.

• Eine einzelne Region des Multiple Spanning Tree Protocol (MSTP) muss auf allen VLANs konfiguriert werden, die im PVLAN enthalten sind.

• VLAN Spanning Tree Protocol (VSTP) wird nicht unterstützt.

• IGMP-Snooping wird von privaten VLANs nicht unterstützt.

• Routing-VLAN-Schnittstellen werden auf privaten VLANs nicht unterstützt

• Routing zwischen sekundären VLANs im selben primären VLAN wird nicht unterstützt.

• Einige Konfigurationsanweisungen können nicht auf einem sekundären VLAN angegeben werden. Sie können die folgenden Anweisungen auf Hierarchieebene [edit vlans vlan-name switch-options]nur auf dem primären PVLAN konfigurieren.

• Wenn Sie ein primäres VLAN in ein sekundäres VLAN ändern möchten, müssen Sie es zunächst in ein normales VLAN ändern und die Änderung bestätigen. Führen Sie beispielsweise folgendes Verfahren aus:

  1. Ändern Sie das primäre VLAN in ein normales VLAN.

  2. Commit der Konfiguration.

  3. Ändern Sie das normale VLAN in ein sekundäres VLAN.

  4. Commit der Konfiguration.

  Folgen Sie derselben Commit-Sequenz, wenn Sie ein sekundäres VLAN in ein primäres VLAN ändern möchten. Das heißt, machen Sie das sekundäre VLAN zu einem normalen VLAN und bestätigen Sie diese Änderung, und ändern Sie dann das normale VLAN in ein primäres VLAN.

Die folgenden Funktionen werden auf PVLANs auf Junos-Switches mit Unterstützung für den ELS-Konfigurationsstil nicht unterstützt:

• Ausgangs-VLAN-Firewall-Filter

• Ethernet-Ringschutz (ERP)

• Flexibles VLAN-Tagging

• global-mac-statistik

• Integrierte Routing- und Bridging -Schnittstelle (IRB)

• Multichassis Link Aggregation Groups (MC-LAGs)

• Port-Spiegelung

• Q-in-Q-Tunneling

• VLAN Spanning Tree Protocol (VSTP)

• Voice over IP (VoIP)

Sie können die folgenden Anweisungen auf [edit vlans vlan-name switch-options] Hierarchieebene nur auf dem primären PVLAN konfigurieren:

• Mac-Tabellengröße

• Kein Mac-Learning

• Mac-Statistik

• Schnittstellen-Mac-Limit

PVLANs können die folgenden verschiedenen Porttypen verwenden:

• Promiscuous Trunk-Port: Ein promiscuous Port ist ein upstreamer Trunk-Port, der mit einem Router, einer Firewall, einem Server oder einem Provider-Netzwerk verbunden ist. Ein promiscuous Trunk-Port kann mit allen Schnittstellen kommunizieren, einschließlich der isolierten und Community-Ports innerhalb eines PVLAN.

• PVLAN-Trunk-Port: In Multiswitch-PVLAN-Konfigurationen ist ein PVLAN-Trunk-Port erforderlich, um die Switches zu umspannen. Der PVLAN-Trunk-Port ist Mitglied aller VLANs innerhalb des PVLAN (d. h. des primären VLANs, der Community-VLANs und des isolierten VLANs), und er transportiert den Datenverkehr aus dem primären VLAN und allen sekundären VLANs. Es kann mit allen Ports kommunizieren.

  Die Kommunikation zwischen einem PVLAN-Trunk-Port und einem isolierten Port erfolgt normalerweise unidirektional. Die Mitgliedschaft eines PVLAN-Trunk-Ports im isolierten Interswitch-VLAN ist nur ausgehend, was bedeutet, dass ein isolierter Port Pakete an einen PVLAN-Trunk-Port weiterleiten kann, ein PVLAN-Trunk-Port jedoch keine Pakete an einen isolierten Port weiterleitet (es sei denn, die Pakete gehen über einen promiscuous Access Port ein und werden daher an alle sekundären VLANs im selben primären VLAN wie der promiscuous Port weitergeleitet).

• Sekundärer VLAN-Trunk-Port– Sekundäre VLAN-Trunk-Ports übertragen sekundären VLAN-Datenverkehr. Für ein bestimmtes privates (primäres) VLAN kann ein sekundärer VLAN-Trunk-Port den Datenverkehr nur für ein sekundäres VLAN übertragen. Ein sekundärer VLAN-Trunk-Port kann jedoch den Datenverkehr für mehrere sekundäre VLANs übertragen, solange jedes sekundäre VLAN Mitglied eines anderen primären VLANs ist. Ein sekundärer VLAN-Trunk-Port kann beispielsweise den Datenverkehr für ein Community-VLAN übertragen, das Teil des primären VLANs pvlan100 ist, und auch den Datenverkehr für ein isoliertes VLAN übertragen, das Teil des primären VLAN pvlan400 ist.

  HINWEIS:

  Wenn Datenverkehr von einem sekundären VLAN-Trunk-Port ausgeht, trägt er normalerweise das Tag des primären VLANs, dem der sekundäre Port angehört. Verwenden Sie die extend-secondary-vlan-id Anweisung, wenn der Datenverkehr, der von einem sekundären VLAN-Trunk-Port aus geht, seinen sekundären VLAN-Tag beibehalten soll.

• Gemeinschaftshafen– Gemeinschaftshäfen kommunizieren untereinander und mit ihren promiscuous Ports. Community-Ports dienen nur einer ausgewählten Gruppe von Benutzern. Diese Schnittstellen sind auf Layer 2 von allen anderen Schnittstellen in anderen Communities oder isolierten Ports innerhalb ihres PVLAN getrennt.

• Isolierter Zugriffsport: Isolierte Ports verfügen nur über Layer-2-Konnektivität mit promiscuous Ports und PVLAN-Trunk-Ports. Ein isolierter Access-Port kann nicht mit einem anderen isolierten Port kommunizieren, selbst wenn diese beiden Ports Mitglieder desselben isolierten VLANs sind.

• Promiscuous Access Port: Diese Ports übertragen nicht getaggten Datenverkehr und können nur Mitglied eines primären VLANs sein. Der Datenverkehr, der über einen promiscuous Access Port eintrifft, wird an die Ports der sekundären VLANs weitergeleitet, die Mitglieder des primären VLANs sind, dem der promiscuous Access-Port angehört. In diesem Fall führt der Datenverkehr das entsprechende sekundäre VLAN-Tag, wenn er vom sekundären VLAN-Port ausgeht, wenn es sich bei dem sekundären VLAN-Port um einen Trunk-Port handelt. Wenn der Datenverkehr über einen sekundären VLAN-Port eintrifft und an einem promiscuous Access Port austritt, wird der Datenverkehr beim Ausgehenden nicht markiert. Wenn getaggter Datenverkehr an einem promiscuous Access-Port eintrifft, wird der Datenverkehr verworfen.

Wenn Sie einen sekundären VLAN-Trunk-Port verwenden, beachten Sie Folgendes:

• Sie müssen für jedes primäre VLAN, an dem der sekundäre VLAN-Trunk-Port teilnimmt, eine Isolations-VLAN-ID konfigurieren. Dies gilt auch, wenn die sekundären VLANs, die der sekundäre VLAN-Trunk-Port übertragen wird, auf ein einzelnes Gerät beschränkt sind.

• Wenn Sie einen Port als sekundären VLAN-Trunk-Port für ein bestimmtes primäres VLAN konfigurieren, können Sie auch den folgenden physischen Port konfigurieren:

  • Sekundärer VLAN-Trunk-Port für ein anderes primäres VLAN

  • PVLAN-Trunk für ein weiteres primäres VLAN

  • Promiscuous Trunk-Port

  • Zugriffsport für ein nicht privates VLAN

• Datenverkehr, der über einen sekundären VLAN-Trunk-Port (mit einem sekundären VLAN-Tag) eingehender und an einem PVLAN-Trunk-Port eingehender wird, behält das sekundäre VLAN-Tag beim Ausgang bei.

• Datenverkehr, der über einen sekundären VLAN-Trunk-Port ein- und ausgehend auf einem promiscuous Trunk-Port eintrifft, hat das entsprechende primäre VLAN-Tag beim Ausgang.

• Datenverkehr, der über einen sekundären VLAN-Trunk-Port eintrifft und an einem promiscuous Access-Port austritt, wird beim Ausgang nicht markiert.

• Datenverkehr, der über einen promiscuous Trunk-Port mit einem primären VLAN-Tag eingeht und über einen sekundären VLAN-Trunk-Port ausgeht, führt das entsprechende sekundäre VLAN-Tag beim Ausgang. Nehmen Sie beispielsweise an, dass Sie Folgendes auf einem Switch konfiguriert haben:

  • Primäres VLAN 100

  • Community-VLAN 200 als Teil des primären VLANs

  • Promiscuous Trunk-Port

  • Sekundärer Trunk-Port mit Community-VLAN 200

  Wenn ein Paket über den promiscuous Trunk-Port mit dem primären VLAN-Tag 100 eingeht und am sekundären VLAN-Trunk-Port ausgeht, führt es tag 200 beim Ausgang.

Sie können jetzt sowohl die 802.1X-Authentifizierung als auch private VLANs (PVLANs) auf derselben Schnittstelle konfigurieren.

Die IEEE 802.1X-Authentifizierung bietet Netzwerk-Edge-Sicherheit und schützt Ethernet-LANs vor unbefugtem Benutzerzugriff, indem sie den gesamten Datenverkehr zu und von einem Supplicant (Client) an der Schnittstelle blockiert, bis die Nachweise des Supplicants angezeigt und auf dem authentication server (einem RADIUS-Server) abgeglichen werden.

Private VLANs (PVLANs) bieten Layer-2-Isolierung zwischen Ports innerhalb eines VLANs und teilen eine Broadcast-Domain durch das Erstellen sekundärer VLANs in mehrere separate Broadcast-Subdomains auf. PVLANs sind nützlich, um den Fluss von Broadcast- und unbekanntem Unicast-Datenverkehr einzuschränken und die Kommunikation zwischen bekannten Hosts einzuschränken.

Auf einem Switch, der sowohl mit 802.1X-Authentifizierung als auch mit PVLANs konfiguriert ist, wird das Gerät authentifiziert, wenn ein neues Gerät an das PVLAN-Netzwerk angeschlossen wird, und dann auf der Grundlage der PVLAN-Konfiguration oder des RADIUS-Profils einem sekundären VLAN zugewiesen. Das Gerät erhält dann eine IP-Adresse und erhält Zugriff auf das PVLAN-Netzwerk.

Beachten Sie die folgenden Richtlinien und Einschränkungen für die Konfiguration dieser beiden Funktionen auf derselben Schnittstelle:

• Sie können eine 802.1X-fähige Schnittstelle nicht als promiscuous Schnittstelle (eine Schnittstelle, die nach Konfiguration Mitglied des primären VLANs ist) oder als Interswitch-Link (ISL)-Schnittstelle konfigurieren.

• Mehrere Benutzer können nicht über verschiedene VLANs authentifiziert werden, die zu derselben PVLAN-Domäne auf einer logischen Schnittstelle gehören. Wenn z. B. schnittstellenge-0/0/0 so supplicant multiple konfiguriert ist und die Clients C1 und C2 authentifiziert werden und zu dynamischen VLANs V1 bzw. V2 hinzugefügt werden, muss V1 und V2 zu verschiedenen PVLAN-Domänen gehören.

• Wenn VoIP-VLAN und Daten-VLAN unterschiedlich sind, müssen sich diese beiden VLANs in verschiedenen PVLAN-Domänen befinden.

• Wenn die PVLAN-Mitgliedschaft geändert wird (d. h. eine Schnittstelle wird in einem anderen PVLAN neu konfiguriert), müssen die Clients erneut authentifiziert werden.

Sie können jetzt Zugriffs-Port-Sicherheitsfunktionen wie DHCP-Snooping auf privaten VLANs (PVLANs) aktivieren.

Aus Sicherheitsgründen ist es oft sinnvoll, den Fluss von Broadcast- und unbekanntem Unicast-Datenverkehr einzuschränken und sogar die Kommunikation zwischen bekannten Hosts einzuschränken. Mit der PVLAN-Funktion können Sie eine Broadcast-Domain in mehrere isolierte Broadcast-Subdomänen aufteilen und im Wesentlichen ein VLAN in ein VLAN integrieren.

Ethernet-LANs sind anfällig für Angriffe wie Address Spoofing (Forging) und Layer 2 Denial of Service (DoS) auf Netzwerkgeräten. Die folgenden Zugriffs-Port-Sicherheitsfunktionen schützen Ihr Gerät vor Informations- und Produktivitätsverlusten, die durch solche Angriffe verursacht werden können, und Sie können diese Sicherheitsfunktionen jetzt auf einem PVLAN konfigurieren:

• DHCP-Snooping: Filtert und blockiert eingehende DHCP-Servernachrichten auf nicht vertrauenswürdigen Ports. DHCP-Snooping erstellt und verwaltet eine Datenbank mit DHCP-Lease-Informationen, die als DHCP-Snooping-Datenbank bezeichnet wird.

• DHCPv6-Snooping – DHCP-Snooping für IPv6.

• DHCP-Option 82– Auch bekannt als DHCP Relay Agent Information Option. Schützt den Switch vor Angriffen wie Spoofing von IP-Adressen und MAC-Adressen und VERhungern von DHCP-IP-Adressen. Option 82 stellt Informationen über den Netzwerkstandort eines DHCP-Clients bereit. Der DHCP-Server verwendet diese Informationen, um IP-Adressen oder andere Parameter für den Client zu implementieren.

• DHCPv6-Optionen:

  • Option 37 – Remote-ID-Option für DHCPv6; fügt Informationen über den Netzwerkstandort des Remote-Hosts in DHCPv6-Pakete ein.

  • Option 18 – Circuit ID-Option für DHCPv6; fügt Informationen über den Client-Port in DHCPv6-Pakete ein.

  • Option 16 – Anbieter-ID-Option für DHCPv6; fügt Informationen über den Hersteller der Client-Hardware in DHCPv6-Pakete ein.

• Dynamic ARP Inspection (DAI): Verhindert ARP(Address Resolution Protocol)-Spoofing-Angriffe. ARP-Anfragen und -Antworten werden mit Einträgen in der DHCP-Snooping-Datenbank verglichen, und Filterentscheidungen werden anhand der Ergebnisse dieser Vergleiche getroffen.

• IP Source Guard – Verringert die Auswirkungen von IP-Adressen-Spoofing-Angriffen auf das Ethernet-LAN; Validiert die Quell-IP-Adresse im Paket, die von einer nicht vertrauenswürdigen Zugriffsschnittstelle mit der DHCP-Snooping-Datenbank gesendet wird. Wenn das Paket nicht validiert werden kann, wird es verworfen.

• IPv6 Source Guard – IP Source Guard für IPv6.

• IPv6 Neighbor Discovery Inspection – Verhindert IPv6-Adress-Spoofing-Angriffe; Vergleicht Anfragen und Antworten von Nachbarn mit Einträgen in der DHCPv6-Snooping-Datenbank, und Filterentscheidungen werden auf der Grundlage der Ergebnisse dieser Vergleiche getroffen.

Beachten Sie die folgenden Richtlinien und Einschränkungen für die Konfiguration von Zugriffs-Port-Sicherheitsfunktionen auf PVLANs:

• Sie müssen dieselben Zugriffs-Port-Sicherheitsfunktionen sowohl auf das primäre VLAN als auch auf alle seine sekundären VLANs anwenden.

• Ein PVLAN kann nur eine integrierte Routing- und Bridging -Schnittstelle (IRB) haben, und die IRB-Schnittstelle muss sich im primären VLAN sein.

• Die Einschränkungen der Sicherheitskonfigurationen für Den Zugriffsport auf PVLANs sind dieselben wie für Konfigurationen für Zugriffs-Port-Sicherheitsfunktionen, die nicht in PVLANs enthalten sind. Lesen Sie die Dokumentation zur Zugriffs-Port-Sicherheit im Administrationsleitfaden für Sicherheitsservices.

• Problem
• Lösung

• Problem
• Lösung

• Problem
• Lösung